제 제 12 12 장 장 정보기술 정보기술 보안성 보안성 평가 평가
정보기술 보안성 평가 개요
▣
다양한 정보보호 제품들이 등장함에 따라 신뢰성 있는 제3자의 기관 에서 각 정보보호 제품들에 대한 평가를 수행하여 공표함으로써 수요 자들이 더 용이하게 정보보호 제품을 선택할 수 있게 할 필요 발생
▣
선진 각국에서는 정보보호 시스템의 성능과 신뢰도를 평가하기 위한 정보보호 평가 기준을 1980년대 부터 작성하여 다양한 정보보호 시스 템 제품 개발에 대한 가이드 및 신뢰보장 척도로 사용
◈ 미국: TCSEC (Trusted Computer System Evaluation Criteria)
◈ 캐나다: CTCPEC (The Canadian Trusted Computer Product Evaluation Criteria)
◈ 유럽: ITSEC (Information Technology Security Evaluation Criteria)
▣
1999년에 ISO에서 CC (Common Criteria: 국제공통 평가기준)를 표준 으로 채택
▣
국내에서는 정보보호시스템 평가를 위해 1998년에 K 등급제를 도입
하여 침입차단시스템 평가 기준을 제정하였고, 2000년에 침입탐지시
스템 평가 기준을 제정하여 시행
TCSEC
▣
배경
◈ 미국은 1960년대 후반 원격접근에 의한 비밀정보의 보호 및 컴퓨터 시스 템 내의 비밀정보 보호를 위한 연구 시작
– 보안정책, 보안요구사항, 국방부의 비밀정보보호를 위한 기술적 대책 등의 내 용
◈ 1983년 통상 오렌지 북(Orange Book)으로 알려진 안전한 컴퓨터 시스템 평가 기준인 TCSEC의 초안을 제정하고, 1985년 그 수정본을 국방부 표준 으로 채택
◈ 국방부는 안정성이 입증된 컴퓨터 시스템을 국방부 및 정부 기관에 보급 하기 위하여 이들을 TCSEC에 따라 여러 등급으로 분류하여, 각 기관의 특성에 맞는 컴퓨터 시스템을 도입하도록 권고
◈ TCSEC은 비밀처리를 위해 정보노출을 방지하는 보안요구사항을 갖춘 상용 제품의 표준을 공급자에게 제공
◈ TCSEC은 관련 부서에 중요 정보의 안전한 처리를 위해 컴퓨터 시스템의 신뢰도를 평가하는 척도를 제공하고, 구매 명세서에 보안요구사항을 명 시하는 근간으로 사용
TCSEC
▣
TCSEC 등급
◈ A, B, C, D 등 4개의 등급
◈ A 분류: 가장 포괄적이며, 검증된 설계가 되어 있는 정보보호시스템의 등 급을 의미
◈ B 분류: 강제적 보호
◈ C 분류: 임의적 보호
◈ D 분류: 최소한의 보호
▣
TCSEC 확장
◈ TNI(Trusted Network Interpretation of the TCSEC): 네트워크용 정보보호시 스템 평가
◈ TDI(Trusted Database Interpretation of the TCSEC): 데이터베이스용 정보 보호시스템 평가
◈ CSSI(Computer Security Subsystem Interpretation of the TCSEC): 서브시스 템 평가용
ITSEC
▣
배경
◈ 영국, 독일, 프랑스, 네덜란드 4개국이 정보보호 시스템의 상호인증 문제 를 해결하기 위해 개발한 공동 기준
◈ 1989년 기존에 각국이 가지고 있던 평가기준들을 최대한 수용한 공동의 기준을 개발하기로 합의하고, 이를 위해 노력한 결과 1991년 ITSEC 버전 1.2를 제정
▣
ITSEC 구성
◈ 보안기능 부분과 보증 부분으로 구성
◈ 보안기능 부분은 사용자가 정의한 것이거나 기존의 기능을 사용하도록 되어 있으며, 보증 부분은 효용성 및 정확성을 평가할 수 있도록 정의되 어 있음
ITSEC
▣
ITSEC의 특징
◈ TCSEC과 달리 단일 기준으로 모든 정보보호제품을 평가하려고 함
– 보안기능은 개발자가 제품이 사용될 환경을 고려하여 설정하거나 TCSEC 혹 은 독일의 ZSIEC(Criteria for the Evaluation of Trustworthiness of Information Technology Systems)에서 미리 정의한 보안기능 사용
– 제품에 대한 평가는 보증부분만으로 수행
◈ 시스템과 제품을 동일한 평가기준으로 평가하도록 되어 있고, 새로운 보 안기능의 정의가 용이하고 등급의 평가는 보증의 평가만으로 이루어짐
국제공통기준(CC)
▣
배경
◈ 기존의 평가기준이 국가마다 상이하기 때문에 한 국가에서 평가받은 제 품을 다른 나라에서 사용하기 위해서는 다시 재평가 받아야 하는 문제 발 생
◈ 재평가에 소요되는 노력을 줄이기 위해 각국은 단일한 평가기준 제정을 위한 노력을 수행하였으며 그 결과 국제공통기준(Common Criteria, CC) 이 탄생
◈ 현재 ISO 국제표준으로 제정되어 있음
◈ 국제공통기준을 이용해 이미 인증을 획득한 정보보호시스템 및 제품은 CCRA(Common Criteria Recognition Agreement)에 가입한 국가에서는 재 평가 과정을 거치지 않고, 다른 국가에서 발행한 인증 결과를 수용하도록 되어 있음
◈ 국제공통기준에 의한 보안성 인증을 받게 되면 CCRA 협정에 가입한 국 가들에 대한 제품 수출이 가능해짐
국제공통기준(CC)
▣
국제공통기준 구성
◈ 제1부 일반적인 소개와 일반모델 제시
◈ 제2부 보안기능요구사항
– 보안감사(security audit) – 통신(communication)
– 암호지원(cryptographic support)
– 사용자 데이터 보호(user data protection) – 식별 및 인증(identification and authentication) – 보안관리(security management)
– 사용자 개인 데이터 보호(privacy)
– TOE 보안기능보호(TOE protection of trusted security functions) – 자원활용(resource utilization)
– TOE 접근(Target Of Evaluation access) – 안전한 경로 채널(trusted path/channel)
국제공통기준(CC)
▣
국제공통기준 구성
◈ 제3부 보증요구사항
– 형상관리(configuration management) – 배포와 운영(delivery and operation) – 개발(development)
– 설명서(guidance documents) – 생명주기지원(life cycle support) – 시험(tests)
– 취약성 분석(vulnerability analysis) – 보증유지(maintenance of assurance)
– 보호프로파일평가(protection profile evaluation) – 보안목표명세서 평가(security target evaluation)
국내 K 등급
▣
배경
◈ 보안기능의 성능과 신뢰도가 증명되지 않은 시스템의 사용은 보안 취약 성을 내재한 가능성이 있으므로 이를 해결하기 위해 방안으로 국제공통 기준(CC)과 호환성을 가지는 정보보호시스템 평가 제도를 도입
◈ 정보통신부의 정보통신망 침입차단시스템과 침입탐지시스템의 평가기 준 및 평가지침서 고시를 바탕으로, 한국정보보호진흥원(KISA)에서
1998년부터 침입차단시스템 평가를 시행하고, 2000년부터 침입탐지시스 템 평가를 시행
▣
등급 구성
◈ K1(최저등급)부터 K7(최고등급)까지 총 7개 등급
◈ K0: 평가결과 요구사항을 만족시키지 못함
◈ 등급별 기능요구사항 및 보증요구사항에 차이가 있음 (그림 12-1)
국내 K 등급
▣
주요 평가 제출물
◈ 보안목표명세서
◈ 기능명세서
◈ 기본설계서
◈ 상세설계서
◈ 검증명세서
◈ 시험서
◈ 형상관리문서
◈ 설치지침서
◈ 운영지침서
◈ 사용자 설명서 및 관리자 설명서
◈ 취약성 분석서
◈ 요용분석서
